타사 드라이버가 강력한 보안 표준을 충족하도록 하여 CodeQL이 Windows의 공격 노출 영역을 줄이는 방법을 알아봅니다. 이 문서에서는 WHCP 규정 준수를 위해 CodeQL을 사용할 경우의 이점에 대해 설명합니다.
이 보안 표시줄을 설정하는 한 단계는 모든 드라이버 제출이 드라이버 소스 코드에서 CodeQL 엔진을 사용하고 반드시 수정해야 하는 위반을 수정해야 한다고 명시하는 Windows WHCP(하드웨어 호환성 프로그램)에 대한 요구 사항입니다.
CodeQL 개념 이해
CodeQL은 개발자가 라이브 환경 외부의 코드에서 보안 분석을 수행하는 데 사용하는 정적 분석 엔진입니다.
CodeQL은 컴파일 중에 코드를 수집하고 해당 코드에서 데이터베이스를 빌드합니다. 데이터베이스는 쿼리 가능한 데이터, 원본 참조 및 로그 파일을 포함하는 디렉터리가 됩니다. 데이터베이스가 빌드되면 소스 코드에 위반 또는 보안 취약성이 포함되어 있는지 확인하는 CodeQL 쿼리(검사 또는 규칙이라고도 함)를 활용하여 분석을 실행할 수 있습니다.
CodeQL은 언어 정확성 및 의미 체계를 확인하는 표준 쿼리 라이브러리를 제공하여 코드에 버그와 취약성이 없는지 확인하려는 개발자에게 큰 가치를 제공합니다.
CodeQL은 사용자 지정 쿼리를 빌드하는 옵션도 제공합니다.
사용자 지정 쿼리 작성에 대한 자세한 내용은 CodeQL 설명서에서 쿼리 작성 을 참조하세요.
또한 CodeQL은 CodeQL 작업 또는 대규모 분석을 수행하는 CodeQL CLI(명령줄 도구) 를 제공합니다.
CodeQL 시작하기에서 추가적인 CodeQL CLI 설명서를 찾으세요.
CodeQL이 드라이버 보안을 향상시키는 방법
GitHub의 CodeQL은 강력한 의미 체계 코드 분석 엔진이며, 강력한 플랫폼과 함께 광범위한 고부가가치 보안 쿼리 제품군을 조합하여 드라이버 코드를 보호하는 데 매우 유용한 도구입니다.
WHCP 테스트에 CodeQL을 사용하는 것은 HLK(하드웨어 랩 키트) 최종 사용자 라이선스 계약에 따라 허용됩니다.
WHCP 참가자의 경우 HLK의 EULA는 WHCP의 일부로 제출 및 인증할 드라이버를 분석하기 위한 일반 엔지니어링 프로세스의 일환으로 자동화된 분석, CI 또는 CD 중에 CodeQL을 사용할 수 있다고 명시하여 GitHub의 CodeQL 사용 약관을 덮어씁니다.
정적 도구 로고 테스트는 드라이버 소스 코드를 분석하고 반드시 수정해야 하는 위반을 수정하기 위해 이 요구 사항을 적용합니다.
중요합니다
Windows 하드웨어 호환성 프로그램에는 클라이언트 및 서버 운영 체제에서 STL(정적 도구 로고) 테스트용 CodeQL이 필요합니다. 우리는 이전 제품에 대한 SDV 및 CA에 대한 지원을 계속 유지합니다. 파트너가 정적 도구 로고 테스트에 대한 CodeQL 요구 사항을 검토하는 것이 좋습니다.
HLK EULA 및 CodeQL
Windows 하드웨어 호환성 프로그램 테스트를 인증하기 위한 CodeQL 사용은 HLK(하드웨어 랩 키트) 최종 사용자 사용권 계약에 따라 허용됩니다.
WHCP 참가자의 경우 HLK의 EULA는 GitHub의 CodeQL 사용 약관을 재정의하여 WHCP 인증을 위해 제출된 드라이버를 분석 하기 위해 일반적인 엔지니어링 프로세스의 일부로 자동화된 분석, CI 또는 CD 중에 CodeQL을 사용할 수 있도록 합니다.
일반적인 사용을 위한 사람들은 GitHub CodeQL 사용 약관을 읽거나 CodeQL에 문의하세요.